IA et données clients : ce qu’il faut exiger avant de signer

Trois questions avant de signer

Vous allez brancher un agent IA sur votre messagerie et sur votre fichier clients. La démonstration a convaincu l’équipe. Puis quelqu’un pose la question : « Où vont nos données ? » Le prestataire répond « en Europe, c’est conforme » et la réunion continue. Cette réponse tient en une phrase et ne vous engage sur rien. Trois réponses écrites valent mieux : où vivent les données, quels accès l’IA garde sur vos outils, comment tout disparaît après votre départ.

Un fil rouge pour la suite. Illustration : une agence immobilière de 6 personnes branche un agent IA sur sa messagerie Microsoft et sur son agenda Google. L’agent voit environ 1 500 contacts clients. L’agence résilie le 2 mars. Avec une purge à 30 jours, tout doit avoir disparu au plus tard le 1er avril.

Au moment de signer, personne ne pense à la sortie. C’est pourtant elle qui décide de ce qu’il reste de vos clients chez un tiers, un mois après votre départ.

Où vivent les données ?

Deux architectures existent. Dans la première, une base mutualisée héberge les données de tous les clients du prestataire, séparées par une colonne qui indique à qui appartient chaque ligne. Dans la seconde, chaque client a son serveur dédié. Chez Livia, le produit d’IA que je construis, c’est la seconde : un serveur par client, hébergé dans l’Union européenne.

Ce choix change deux choses. Le cloisonnement d’abord : une erreur de requête ne peut pas ramener les contacts d’un autre client, puisqu’ils ne se trouvent pas sur la même machine. L’effacement ensuite : supprimer vos données ne demande pas de retrouver vos lignes une à une parmi celles des autres.

Pour l’agence de l’illustration, les 1 500 contacts clients tiennent sur un serveur à elle. Sur une base mutualisée, ils se mêlent à ceux de dizaines d’autres entreprises, et l’effacement dépend de la rigueur d’une requête. Le sujet de l’IA souveraine se ramène ici à une question d’adresse : où, et chez qui.

Le lieu se vérifie : vous pouvez demander le pays et l’hébergeur du serveur, et le contrôler. Demandez aussi par écrit le mode de séparation des données entre clients.

Ce que l’IA emporte : les jetons d’accès

Pour lire une messagerie ou un agenda, l’agent doit s’authentifier. Il le fait avec un jeton d’accès, une autorisation délivrée par Google ou Microsoft qui dit « cette application a le droit de lire ce compte ». C’est le fonctionnement normal de tout connecteur, comme je le détaille dans l’intégration d’une IA à un logiciel métier.

Le prestataire garde ce jeton chez lui. Il peut rester valable après votre départ tant que personne ne le révoque, et il donne accès à ce que l’agent lisait : vos mails et vos rendez-vous.

Illustration : l’agence a donné à l’agent un accès à sa messagerie Microsoft et à son agenda Google. Après la résiliation du 2 mars, ces deux autorisations existent toujours chez le prestataire. Sans purge des jetons, l’agent pourrait encore lire les mails et les rendez-vous des 6 collaborateurs.

Un contrat qui parle de « suppression des données » sans nommer les jetons laisse ce point ouvert. Listez chaque outil connecté à l’agent : chacun a son jeton, et chacun doit figurer dans la liste. Vous pouvez aussi révoquer l’accès vous-même depuis votre compte Microsoft ou Google, le jour de la résiliation.

Le jour où vous partez, l’IA part aussi

Chez Livia, la purge démarre toute seule 30 jours après une résiliation confirmée. Elle s’applique en cascade sur une trentaine de tables et elle inclut les jetons d’accès Google et Microsoft. Le client n’a rien à demander.

Une trentaine de tables, parce qu’une donnée client se retrouve à beaucoup d’endroits : un contact apparaît dans une fiche, dans l’historique des conversations, dans les journaux d’activité, dans une pièce jointe, dans un brouillon de réponse. Effacer la fiche seule laisse les copies. La cascade suit chaque lien d’une donnée jusqu’à ses copies.

Illustration : avec une résiliation le 2 mars, la purge de l’agence arrive au plus tard le 1er avril. À cette date, les 1 500 contacts, les conversations et les deux autorisations ont disparu.

Les 30 jours ont un rôle : ils laissent le temps de se raviser, de récupérer un export ou de régler un litige. Le délai se négocie. Il doit s’écrire, avec une date de fin. Un prestataire qui promet d’« effacer les données » sans dire quand, ni où, ni avec quelle preuve, laisse tout le travail de contrôle à votre charge.

Ce que le contrat doit écrire

L’article 28 du RGPD impose un contrat écrit entre l’entreprise qui décide des données (le responsable de traitement) et le prestataire qui les traite pour son compte (le sous-traitant). Un prestataire IA qui lit vos mails ou votre fichier clients entre dans ce cadre. Le contrat existe donc déjà en droit : reste à lui faire dire la sortie.

Six questions à faire écrire au contrat :

1. Où les données sont-elles hébergées, et sont-elles séparées de celles des autres clients ?
2. Quels accès l’IA détient-elle sur mes outils (messagerie, agenda, logiciel métier), et sous quelle forme ?
3. Que devient chaque catégorie de données à la résiliation : fiches, conversations, journaux, pièces jointes ?
4. Les jetons d’accès sont-ils supprimés, et à quelle date ?
5. Quel délai sépare la résiliation confirmée de l’effacement complet, et qui le déclenche ?
6. Le prestataire remet-il une attestation de purge ?

Le contrat règle les actes du prestataire. Les saisies de vos équipes relèvent d’une charte d’usage de l’IA, qui liste les données interdites de saisie. L’AI Act encadre autre chose : la transparence envers les personnes et la formation des équipes qui utilisent l’IA.

Le test avant de signer

Une agence comme celle de l’illustration peut faire ce test en un après-midi, avec un seul courriel et une réponse écrite. La page immobilier liste les usages de l’IA en agence, et donc les données qu’elle lit.

Avant même ces questions, la grille par où commencer vous dit en trois questions si votre cas d’usage vaut un projet. Le point de départ sert ensuite à lister vos données, vos outils et ce que vous voulez voir disparaître le jour où vous partez.